RSA暗号を因数分解なしで破る新手法が登場
原題: There's a new way to break RSA that's faster than anything we've seen before
なぜ重要か
「因数分解なしにRSAを破れない」という30年来の定説が覆され、量子コンピュータ登場前から古典計算でRSAが危機にさらされる可能性が示された点は業界全体に影響を与える。
2026年9月24日、Ars Technicaが報じた研究によると、RSA暗号を因数分解せずに破る「署名偽造攻撃」が新たに発見された。1024ビット鍵への攻撃は学術機関のCPUクラスターで数ヶ月以内に完了。2048ビット・4096ビット鍵でも安全基準とされる128ビット相当のセキュリティレベルを大幅に下回ることが示された。
RSA暗号系は長年、その安全性が「大きな整数の因数分解の困難さ」に依存すると考えられてきた。今回、UC San DiegoのNadia Heninger教授らの研究チームがその前提を覆す新手法を発表した。「鍵の偽造攻撃（Key Forgery Attack）」と呼ばれるこの手法は、秘密鍵を因数分解で求めることなく、有効なRSAデジタル署名を生成できることを示した。
攻撃の実用性について言えば、1024ビット鍵への適用は学術機関のCPUクラスターを数ヶ月使用することで実現可能だった。これは従来の因数分解アプローチが国家・大企業級の莫大なリソース（推定で1鍵あたり数千万ドル規模）を必要としていたのと比べ、必要計算資源をオーダー単位で削減している。
セキュリティレベルへの影響も深刻だ。NSA・NIST・ENISAはいかなる暗号系も128ビット以上の安全性を持つべきと定めているが、この偽造攻撃は1024ビット鍵で2の65乗、2048ビット鍵で2の90乗、4096ビット鍵でも2の119乗まで安全レベルを引き下げることが示された。さらに研究チームはコードをすべて手作業で記述し、AIやGPUを一切使用していない。研究者らは「これらのツールを活用すれば安全レベルはほぼ確実にさらに低下する」と述べている。
一方、現在広く使われているRSA実装への直接的な脅威は限定的だ。この攻撃はブラインド署名実装のRSAにのみ有効であり、今日の圧倒的多数のRSAが採用するPKCSまたはPSSパディング方式には現時点では適用できない。暗号専門家でAllurity社イノベーション責任者のKarsten Nohlは「査読を通過すれば概念的なブレークスルーになる」とコメント。Heninger教授も「暗号学者はRSA署名を計算するには先に因数分解が必要だと考えていたが、その前提が崩れた」と述べた。